本文档介绍了如何指定批处理作业的服务账号，该账号会影响作业的虚拟机可以访问的资源和应用。如果您未指定自定义服务账号，则作业默认使用 Compute Engine 默认服务账号 默认情况下，该连接会自动挂接到项目中的所有虚拟机。因此， 使用自定义服务账号 可以更好地控制作业的权限管理， 限制权限的最佳做法。
详细了解作业的服务账号。
准备工作
- 如果您之前未使用过批处理功能，请参阅开始使用批处理，并完成适用于项目和用户的前提条件，以启用批处理功能。
-
如需获得使用自定义服务账号控制作业访问权限所需的权限，请让管理员为您授予以下 IAM 角色：
-
如需创建作业，请执行以下操作：
-
Batch Job Editor (
roles/batch.jobsEditor) 针对项目 -
Service Account User (
roles/iam.serviceAccountUser) 服务账号用户 针对作业的服务账号，该账号默认为默认的 Compute Engine 服务账号
-
Batch Job Editor (
-
如需查看服务账号，请执行以下操作：
查看服务账号 (
roles/iam.serviceAccountViewer) 针对项目
如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。
-
如需创建作业，请执行以下操作：
-
确定要为此作业使用的服务账号。请确保 此服务账号具有运行您的作业所需的所有权限。
详细了解 查看服务账号和 作业服务账号的必需权限。
创建使用自定义服务账号的作业
如需创建使用自定义服务账号的作业，请选择以下任一方法：
- 在作业的定义中指定自定义服务账号，如本部分所示。
- 使用 Compute Engine 实例模板和 在实例模板和 作业定义。
本部分举例说明了如何创建使用自定义 服务账号。您可以使用以下命令创建使用自定义服务账号的作业： gcloud CLI、Batch API、Java、Node.js 或 Python。
gcloud
如需使用 gcloud CLI 创建使用自定义服务账号的作业，请使用 gcloud batch jobs submit 命令，并在作业的配置文件中指定自定义服务账号。
例如，如需创建使用自定义服务账号的脚本作业，请执行以下操作：
在名为
hello-world-service-account.json，其中包含以下内容：{ "taskGroups": [ { "taskSpec": { "runnables": [ { "script": { "text": "echo Hello World! This is task $BATCH_TASK_INDEX." } } ] } } ], "allocationPolicy": { "serviceAccount": { "email": "SERVICE_ACCOUNT_EMAIL" } } }其中，
SERVICE_ACCOUNT_EMAIL是您的服务账号的电子邮件地址。如果未指定serviceAccount字段，则将值设置为默认 Compute Engine 服务账号。运行以下命令：
gcloud batch jobs submit example-service-account-job \ --location us-central1 \ --config hello-world-service-account.json
API
如需使用 Batch API 创建使用自定义服务账号的作业，请使用 jobs.create 方法，并在 allocationPolicy 字段中指定您的自定义服务账号。
例如，如需创建使用自定义服务账号的脚本作业，请将 以下请求：
POST https://batch.googleapis.com/v1/projects/PROJECT_ID/locations/us-central1/jobs?job_id=example-service-account-job
{
"taskGroups": [
{
"taskSpec": {
"runnables": [
{
"script": {
"text": "echo Hello World! This is task $BATCH_TASK_INDEX."
}
}
]
}
}
],
"allocationPolicy": {
"serviceAccount": {
"email": "SERVICE_ACCOUNT_EMAIL"
}
}
}
替换以下内容：
PROJECT_ID：您的项目的项目 ID。SERVICE_ACCOUNT_EMAIL：您的 服务账号。如果未指定serviceAccount字段，则将值设置为默认 Compute Engine 服务账号。